CVE-2024-12615: podatność SQL Injection w wtyczce Passwords Manager dla WordPress

Co wiadomo

Wtyczka Passwords Manager dla WordPress do wersji 1.4.8 włącznie jest podatna na atak SQL Injection poprzez niewystarczające zabezpieczenie parametru $wpdb->prefix w kilku akcjach AJAX. Atakujący z uprawnieniami co najmniej subskrybenta mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wykradanie poufnych danych z bazy.

Wpływ biznesowy

Podatność pozwala na eskalację uprawnień i wyciek danych z bazy WordPress, co może prowadzić do naruszenia poufności informacji i utraty zaufania użytkowników. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa danych i integralności systemu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Passwords Manager i jej instalację. W przypadku braku łatki należy ograniczyć dostęp użytkowników do minimum, monitorować logi pod kątem podejrzanych zapytań SQL oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić audyt bezpieczeństwa bazy danych i wzmocnić mechanizmy kontroli dostępu.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference